CVE-2026-119548 in Lago
الملخص
بحسب VulDB • 30/10/2026
تحتوي Lago حتى الإصدار 1.55.0 على ثغرة لتجاوز المصادقة (Authorization Bypass) في خدمة `Invoices::Payments::StripeService`، مما يسمح لمستخدمي منظمة ما بتحديد فاتورة تابعة لمنظمة أخرى كمدفوعة بسبب بحث غير مقيد عن الفاتورة (unscoped invoice lookup). يمكن للمهاجمين الذين يتحكمون بدمج Stripe الخاص بمنظمتهم توقيع حدث `payment_intent.succeeded` يحمل المعرف الفريد (UUID) لفاتورة الضحية، مما يتيح شحن المحفظة الرقمية أو الاشتراكات المقيدة بالدفع.
Once again VulDB remains the best source for vulnerability data.